HTTPS客戶端無法連接 - PKIX路徑構建失敗但存在根證書

Question

我有一個Java客戶端，我得到一個SSLHandshakeException，消息“PKIX路徑構建失敗[classname]無法找到所請求目標的有效證書路徑”

我搜索但所有建議似乎是根CA不在信任庫中。 除此之外......我試圖將根證書添加到信任庫，keytool說

“別名”下的“系統范圍的CA密鑰庫中已存在證書”。

我通過訪問我試圖在瀏覽器中訪問的網站（Chrome - 但沒有瀏覽器抱怨任何問題）獲得了證書以嘗試此操作，並且我在鏈中導出了根證書。 然后我嘗試導入上面的結果（我當時中止了導入）。

我不知道如何解決這個問題。

我注意到證書鏈中的瀏覽器顯示了CA的第二個證書（所以CA證書1 - > CA證書2 - >目標證書），我想我可以嘗試導入那個但我覺得我在黑暗中拍攝這里。

還有其他我想念的東西嗎？

Answer 1

為了使證書有效，您必須具有從其到受信任根證書的完整路徑 。

通常，這是通過服務器向客戶端提供所有必要的證書來實現的。 但是，某些Web服務器不會執行此操作，而只提供自己的證書。

您可能遇到過這樣一個配置錯誤的服務器。 嘗試將中間證書導入到本地信任庫，以便客戶端能夠構建從服務器證書到受信任根的完整鏈。 還要記住-trustcacerts選項。